Entendendo Entropia de Senha
Força de senha é frequentemente medida subjetivamente—olhamos para uma senha e adivinhamos se é 'forte' ou 'fraca.' Entropia fornece uma medida objetiva e matemática de força de senha que ajuda você a tomar decisões de segurança informadas. Este guia explica entropia em termos práticos.
Como Entropia é Calculada
Entropia quantifica a aleatoriedade ou imprevisibilidade de uma senha, medida em bits. Cada bit de entropia representa uma duplicação do espaço possível de senhas—o número de tentativas que um atacante precisaria tentar em um ataque de força bruta. A fórmula básica para entropia é: E = log₂(N), onde N é o número total de senhas possíveis. Para uma senha aleatória de comprimento L usando um conjunto de caracteres de tamanho C: N = C^L, então E = L × log₂(C). Com 94 caracteres ASCII imprimíveis e uma senha de 12 caracteres: E = 12 × log₂(94) = 12 × 6,55 ≈ 78,6 bits. Diferentes conjuntos de caracteres têm diferente entropia por caractere: letras minúsculas (26 caracteres) = 4,7 bits por caractere, minúsculas + maiúsculas (52 caracteres) = 5,7 bits por caractere, alfanumérico (62 caracteres) = 5,95 bits por caractere, todos ASCII imprimíveis (94 caracteres) = 6,55 bits por caractere. Para calcular comprimento de senha requerido para uma entropia alvo: L = E / log₂(C). Para 80 bits de entropia com todos tipos de caractere: L = 80 / 6,55 ≈ 12,2, então use pelo menos 13 caracteres. Com apenas minúsculas: L = 80 / 4,7 ≈ 17 caracteres necessários. Estes cálculos assumem seleção verdadeiramente aleatória. Senhas escolhidas por humanos têm entropia muito menor porque não escolhemos aleatoriamente. A senha "MeuAniversario1990" tem entropia teórica baseada em seu comprimento e conjunto de caracteres, mas sua entropia real é muito menor porque segue padrões previsíveis que atacantes exploram. É por isso que geração aleatória importa. Quando você usa nosso gerador de senhas, cada caractere é selecionado usando um gerador de números aleatórios criptograficamente seguro. A fórmula de entropia descreve com precisão a força da senha. Quando você cria senhas você mesmo, a fórmula superestima sua força.
Recomendações de Entropia
Diferentes contas requerem diferentes níveis de proteção. Combinar entropia ao valor do que você está protegendo ajuda você a balancear segurança com usabilidade. Aqui está um guia prático para níveis de entropia e seus usos apropriados. 40 bits ou menos: Extremamente fraco. Estas senhas podem ser quebradas em segundos em hardware de consumo. Exemplos: palavras de dicionário, senhas curtas, padrões óbvios. Nunca use para nada importante. Pode ser aceitável para contas descartáveis que você não se importa, mas mesmo assim, por que não usar um gerenciador de senhas? 50-60 bits: Fraco a moderado. Pode ser quebrado em horas a dias com esforço dedicado. Não recomendado para quaisquer contas contendo informações pessoais, dados financeiros ou acesso a outros serviços. Uma senha como "sunshine123" cai nesta faixa. 60-70 bits: Moderado a bom. Fornece proteção razoável contra ataques casuais mas insuficiente para alvos de alto valor. Aceitável para contas com valor limitado e sem conexão a outras contas. Leva dias a semanas para quebrar com recursos significativos. 70-80 bits: Forte. Este é o mínimo recomendado para contas pessoais importantes—email, redes sociais, sites de compras com informações de pagamento salvas. Levaria meses a anos para quebrar com recursos computacionais substanciais. Uma senha aleatória de 12 caracteres com todos tipos de caractere alcança isto. 80-100 bits: Muito forte. Apropriado para alvos de alto valor: contas de email primárias, senhas mestras de gerenciador de senhas, contas financeiras, credenciais de trabalho. Essencialmente inquebrável com tecnologia atual em qualquer prazo razoável. Senhas aleatórias de 15-16 caracteres com todos tipos de caractere alcançam este nível. 100+ bits: Segurança máxima. Mesmo com avanços teóricos futuros em computação, senhas neste nível são seguras. Use para as credenciais mais críticas—senhas mestras de gerenciador de senhas, carteiras de criptomoeda, sistemas altamente sensíveis. Senhas aleatórias de 20+ caracteres fornecem esta proteção. Para a maioria das pessoas usando um gerenciador de senhas: gere senhas de 16-20 caracteres para todas as contas. Não há desvantagem—o gerenciador lembra e preenche automaticamente. Para senhas que você deve digitar (senha mestra, login de dispositivo): use uma frase-senha de 5-6 palavras aleatórias, que fornece entropia excelente enquanto permanece memorável.
Entropia vs. Complexidade
Um equívoco comum é focar em complexidade de senha (ter maiúsculas, números, símbolos) ao invés de entropia. Embora complexidade ajude, comprimento e aleatoriedade importam muito mais para segurança real. Considere duas senhas: "P@ssw0rd!" tem 10 caracteres com maiúsculas, minúsculas, números e símbolos—parece complexa. Mas segue padrões comuns (substituições de letras, palavra de dicionário) e seria quebrada instantaneamente. Sua entropia real é muito baixa apesar da complexidade aparente. Comparar com "correcthorsebatterystaple" (sem espaços): 28 caracteres, todas minúsculas—sem complexidade. Mas 28 caracteres aleatórios de minúsculas fornecem cerca de 131 bits de entropia, tornando-a virtualmente inquebrável. Comprimento supera complexidade. Requisitos de senha que forçam complexidade ("deve incluir maiúscula, minúscula, número, símbolo") frequentemente fazem as pessoas criarem senhas mais fracas. Elas tomam uma palavra simples e fazem substituições previsíveis: "Password" torna-se "P@ssw0rd1!". Isto adiciona complexidade sem adicionar entropia real porque os padrões são bem conhecidos. Uma abordagem melhor: gere senhas verdadeiramente aleatórias com comprimento suficiente. Uma senha aleatória de 16 caracteres naturalmente incluirá mistura de tipos de caractere. Ou use frase-senha—4-6 palavras aleatórias de uma grande lista de palavras fornece excelente entropia enquanto permanece memorável. Para sistemas que você controla: considere exigir comprimento mínimo (14+ caracteres) ao invés de regras de complexidade. Para sistemas com requisitos de complexidade: use um gerador de senhas que produz senhas aleatórias que atendem aos requisitos, ao invés de tentar criar senhas "complexas" você mesmo. Lembre-se: atacantes usam dicionários sofisticados que conhecem todas as substituições comuns (@ para a, 0 para o, $ para s, etc.). Eles conhecem padrões comuns (maiúscula primeiro caractere, número/símbolo no final). Apenas aleatoriedade verdadeira fornece a entropia que a fórmula prevê.
Testar a Ferramenta
Gerador de Senhas